Ledger heeft de ontdekking bevestigd van een ongeautoriseerde hardware-implant in een apparaat dat is verbonden met het CryptoBilis-incident, terwijl blockchain-onderzoekers de verliezen in cryptocurrency schatten op meer dan $86 miljoen.

Het incident van 9 oktober betrof hardware wallets die werden verkocht via CryptoBilis, een reseller die actief is in Indonesië, Maleisië en de Filippijnen. In een update van 11 oktober identificeerde Ledger de reseller als de bron van alle bevestigde gevallen, terwijl het onderzoek voortduurt.

72 hour update on reseller CryptoBilis incident As the investigation continues, we are working with relevant authorities. The volume of impacted devices is limited. We know this is concerning, especially for those directly affected, and we are reaching out to impacted users.Enumeration mark removed…

— Ledger (@Ledger) October 11, 2026

Het bedrijf verklaarde dat zijn interne systemen en directe verkoopkanalen niet zijn aangetast. Voor eigenaren van hardware wallets wijst dit voorval op een dreigingsmodel dat buiten de softwarebeveiliging valt: de integriteit van het apparaat zelf, vóórdat het ooit wordt ingericht. Desondanks heeft de ontdekking van gemanipuleerde hardware, naast de gemelde diefstallen, een fysieke veiligheidszorg doen ontstaan, terwijl onderzoekers nog steeds werken aan het vaststellen van de volledige omvang van het incident.

Het aantal getroffen apparaten blijft onbekend gemaakt, en de fabrikant heeft de totale financiële verliezen niet bevestigd. CryptoBilis ondertussen is gestopt met de verkoop van hardware wallets nu het onderzoek met de relevante autoriteiten voortduurt.

Blockchain-analyse schat $93,2 miljoen buitgemaakt uit 315 wallets

Blockchain-intelligencebedrijf Bitquery schatte dat in totaal ongeveer $93,2 miljoen is buitgemaakt uit 315 wallets op Bitcoin, Ethereum, TRON, BNB Chain en Polygon. Uit de analyse bleek ook dat een deel van de gestolen fondsen na de eerste diefstallen via aanvullende adressen werd verplaatst.

De schatting overtreft afzonderlijke rapporten die de vermoedelijke verliezen op meer dan $86 miljoen stellen. Geen van beide cijfers vormt echter een officiële verliesinschatting van Ledger, dat het totaal gestolen bedrag niet heeft bevestigd.

Meldingen over vermiste cryptocurrency kwamen binnen op 9 oktober, toen gebruikers verdwijnende fondsen koppelden aan wallets die hoorden bij apparaten die via CryptoBilis waren gekocht. Onderzoekers identificeerden vervolgens een ongeautoriseerd hardwarecomponent in één getroffen apparaat.

Hardware wallets isoleren privésleutels doorgaans van apparaten met internetverbinding om de blostelling aan online aanvallen te beperken. Fysieke aanpassingen kunnen die beschermingen echter ondermijnen als kwaadaardige componenten worden gebruikt om gevoelige informatie te compromitteren. Onderzoekers hebben nog niet publiek vastgesteld hoe de getroffen apparaten zijn gecompromitteerd, of of de hardware-implant elk gemeld verlies heeft veroorzaakt. De verbinding tussen het ontdekte component en de bredere diefstallen wordt daarom nog onderzocht.

Ledger geeft veiligheidsadviezen en herbeoordeelt resellercontroles

Ledger heeft klanten die apparaten via CryptoBilis hebben gekocht geadviseerd voorzorgsmaatregelen te nemen op basis van de initialisatiestatus van hun apparaten. Kopers die hun apparaten nog niet hebben geïnitialiseerd, moeten deze niet ingerichten. Klanten die hun wallets al hebben geïnitialiseerd, moeten daarentegen hun assets overzetten naar een nieuw Ledger-apparaat met een nieuw gegenereerde herstelzin. Het bedrijf heeft getroffen gebruikers ook doorverwezen naar zijn officiële supportwebsite voor hulp.

Het incident heeft geleid tot een herbeoordeling van de controles op geautoriseerde resellers, hardwarebeschermingen en distributieprocedures. Ledger heeft distributeurs bovendien gewaarschuwd geretourneerde apparaten niet opnieuw in voorraad te nemen, met de waarschuwing dat deze praktijk gemodificeerde producten in de toeleveringsketen kan brengen.

Klanten zijn daarom opgeroepen ongeautoriseerde verkopers te vermijden, aangezien hardware wallets die via dergelijke kanalen worden verkregen nep, gemodificeerd of buiten de beveiligingsrichtlijnen van de fabrikant kunnen vallen. Het bedrijf heeft eveneens gewaarschuwd voor opvolgingsoplichting gericht op mensen die door het incident zijn getroffen.

Ledger verklaarde dat het klanten nooit zal bellen, directe berichten zal sturen of om hun herstelzin van 24 woorden zal vragen. Gebruikers moeten daarom vermijden herstelinformatie te delen met iedereen die beweert technische ondersteuning te bieden.

Het onderzoek is nog gaande. Openstaande vragen zijn onder andere hoeveel klanten uiteindelijk zijn getroffen, of Ledger een definitief verliescijfer bevestigt, wat het werk met de relevante autoriteiten onthult over hoe de apparaten zijn gecompromitteerd, en wat de herbeoordeling door het bedrijf van resellercontroles en distributieprocedures oplevert.